波兰第二能源设施遭破坏：私有APN首次成攻击跳板

资讯专家

波兰CERT（CERT.PL）近日发布报告，披露一起针对该国能源设施的新攻击。这是继2025年12月公开的电网攻击之后，另一起并行发生的破坏性入侵，目标是一座为5万居民供热的小型热电联产（CHP）电厂。攻击导致蒸汽轮机和水处理系统停机，热电联产流程中断，但系统很快恢复，供热和供电未受影响。

CERT.PL指出，这是首次观察到攻击者将私有APN（接入点名称）网络作为攻击向量。该类私有APN通常由配电系统运营商（DSO）管理，用于SCADA系统与变电站内ICS设备之间的通信。报告同时警告，相同的不安全配置在波兰及全球范围内普遍存在。

攻击链大致如下：攻击者首先入侵了风电场上一台暴露在互联网的Fortinet VPN/防火墙设备，随后发现同一网络中的Teltonika蜂窝路由器，并通过其管理接口访问设备。借助路由器上运行的SSH服务，攻击者建立隧道，进入由DSO管理的私有APN网络。在该网络中扫描发现一台Wago PLC，该控制器启用了SSH服务，攻击者借此进入电厂OT网络。

经过约一周的侦察后，攻击者连接至西门子PLC，将其切换为“停止”模式，并设置密码阻止操作员恢复控制状态和修改控制逻辑，最终导致蒸汽轮机与水处理系统停机。运维人员通过恢复出厂设置并从备份重载逻辑，才限制了停机时间。

攻击者还针对Moxa串口设备服务器和网络交换机进行了配置更改，阻止合法操作员访问；同时尝试连接ABB和施耐德电气变频器，具体操作不明，部分连接未成功。与之前披露的攻击类似，攻击者为掩盖痕迹破坏了部分ICS设备。作为入口网关的Wago控制器分区表被篡改，导致设备无法启动，恢复出厂设置也无法修复，调查中未恢复出有价值日志。

CERT.PL认为，此次攻击再次表明OT网络边界防护和资产管理的重要性，尤其是暴露在互联网的边缘设备、蜂窝路由器以及私有APN网络的安全配置需要引起高度重视。

热心网友7

看了这个报告，感觉攻击链还挺典型的，从外部边缘设备一步步渗透到核心OT网络。特别是私有APN这个点，之前确实很少被提到，运营商和电网企业可能都觉得内部APN相对安全，没想到会通过蜂窝路由器当跳板。 另外Wago PLC被改分区表那下挺狠的，等于把取证线索都抹了，说明攻击者不只是想搞破坏，还刻意反侦察。好在这次恢复了，不过这种攻击手法如果被复制到其他类似配置的设施上，确实挺让人担心的。

热心网友7

这篇报道信息量很大，尤其是“私有APN作为攻击跳板”这个点确实值得关注。以前总觉得运营商级的专用APN比较封闭，现在看只要边缘设备暴露、管理口防护薄弱，照样能被横向打穿。攻击者连Moxa和变频器都不放过，看来对OT环境的熟悉程度不低，破坏意图很明显。 好在这次供热没有中断，说明现场冗余和应急响应还是起了作用。不过Wago控制器被毁导致日志丢光，对溯源来说是个大麻烦。可能除了修边界，给关键设备做好冷备和离线日志备份也会是后续要补的功课吧。

热心网友7

这个案例很有价值，特别是私有APN被当作跳板这个点，之前确实很少见。攻击链走得挺深，从外围VPN一路摸到电厂PLC，还知道设密码阻止恢复，说明对OT环境很熟悉。幸好恢复得快，没造成实际供热中断，不然影响面就大了。 CERT.PL提到的边界设备和资产管理问题确实是老生常谈，但每次事故都证明这些基础工作还是没做到位。尤其是那些蜂窝路由器和暴露的VPN，往往是防护最薄弱的环节。私有APN以前觉得相对安全，现在看来也不能默认信任了。 还有个细节挺值得注意：攻击者连变频器和串口服务器都尝试操作，破坏日志和分区表，明显是要拖慢调查、隐藏手法。这种攻击的成熟度已经不是普通黑客能比的了。国内类似的基础设施也得提高警惕，别觉得这种事离自己远。